Google 保险柜适用于管理员和法务人员。您必须先让 Google Workspace 管理员为您设置账号，然后才能使用保险柜。 谁是我的管理员？
本指南概述了 Google 保险柜的电子取证功能，您可以使用此功能搜索和导出贵组织的 Google Workspace 数据。
第 1 步：登录保险柜
前往 vault.google.com，然后使用您的 Google Workspace 账号登录 。
如果您无法登录保险柜，请让 Google Workspace 管理员为您 启用保险柜。
第 2 步：创建诉讼或调查
您需要创建一个称作“诉讼或调查”的 工作区，然后才能搜索和导出用户数据。您可以将诉讼或调查视为一个文件夹，用于存储搜索查询和导出软件包。 您可以与他人 （包括外部 用户）共享诉讼或调查。
依次点击诉讼或调查
创建。如果您没有看到创建 选项，请让 Google Workspace 管理员授予您必要的 权限。
输入相关事项的名称。
（可选）输入说明并为相关事项指定数据区域。
点击创建。
第 3 步：搜索数据
在第 2 步中创建诉讼或调查后，系统会打开诉讼或调查的搜索 标签页。 现在，您可以开始搜索了。在创建保全或导出之前，请确保目标诉讼或调查处于活动打开状态。
如果您没有看到搜索 标签页，请让 Google Workspace 管理员授予您必要的 权限。
- 选择一项 Google 服务（例如 Gmail）以进行搜索。
输入搜索参数。您可以选择要搜索的账号以及要使用的条件。例如：
- 查找特定用户发送的邮件—在 账号电子邮件地址字段中输入一个电子邮件地址，或尝试使用搜索 运算符，例如from:user1@example.com和to:user2@example.com。
- 查找包含特定词组的邮件—在很多组织，Gmail 包含数百万封邮件，因此里面自然有相应语言中的大多数常用字词。您可以尝试将多个字词组成一个词组并用英文引号引起来，例如 "confidential project X"。注意 ：搜索操作会忽略引号中词组的大小写和标点符号。
- 排除草稿 \- Gmail 会在发件人 撰写邮件时保存草稿版。如果您不需要这么多详细信息，请勾选排除电子邮件草稿 复选框，将此类邮件从您的搜索结果中移除。
排除匹配项—要从搜索范围中排除某些数据，请在相应的搜索字词前面加上连字符 (‑)。例如，‑subject:vacation 会排除主题中包含“vacation”一词的所有邮件。
详细了解如何搜索 Gmail、云端硬盘和 Meet、 Chat、 日历、 网上论坛、 Voice和Gemini 应用。如需了解更多 Gmail 搜索提示，请参阅针对邮件/消息的更多搜索小妙招（位于本页 下方）。
（可选，适用于 Gmail 和群组）如果您担心搜索会返回过多结果，导致您可能需要花费很长时间进行处理，请点击计数 。计数功能报告结果数的速度快于完整搜索。
要优化搜索，请点击展开 并修改您的搜索参数。
点击搜索 。搜索完成后，保险柜会打开一个结果表格。
搜索限制：
- 已清除的数据 - 保险柜只能搜索并返回未从 Google 生产系统中清除的数据 。保险柜不会自动保留您组织的任何数据。如需确保可以搜索和导出特定 数据，请设置 保留规则 或 保全。
- 云端硬盘内容 - 搜索云端硬盘时，您可以搜索 文件中的文本，包括 Microsoft Word、Excel 和 PowerPoint、PDF、HTML、TXT 和 RTF 文件。不过，您无法在视频、音频、图片或二进制文件中进行搜索。
- 通配符错误 - 如果用户账号中与通配符
搜索运算符匹配的字词达到或超过 100 个，保险柜就无法返回搜索结果。例如，如果使用
subj:foo*搜索时产生过多匹配结果，您可以尝试搜索subj:food*（用于查找“food”等），或者搜索subj:foot*（用于查找“foot”和“football”等）。请注意，搜索日历、Chat、云端硬盘或语音搜索中的数据时均不支持使用通配符。
针对邮件/消息的更多搜索小妙招
| 目标 | 查询示例 |
|---|---|
| 查找与某个外部网域之间往来的所有邮件 |
以下查询会返回与该外部网域之间往来的所有邮件（不论发件人是谁）：
|
| 仅查找聊天消息 |
以下查询会返回聊天消息并排除电子邮件：
|
| 查找某些字词，同时排除另外一些字词 |
以下查询会返回 invite 和 invitational，但不会返回 invitation 和 invited：
|
| 查找邮件中彼此之间距离较近的字词 |
以下查询会返回“don't ever distribute”，但不会返回“don't think we should distribute”。您可以使用 1 到 19 之间的任意数字。
|
| 排除具有用户应用的标签的已删除邮件 |
以下查询会排除用户应用了“travel”标签的所有已删除邮件：
|
| 查找已应用分类标签的所有电子邮件 | 以下查询会返回已应用一个或多个分类标签的所有电子邮件：has:classification-label |
| 查找特定类型的附件 |
以下查询会返回带有 PDF 附件的所有邮件：
|
| 排除已被隔离的邮件。 |
以下查询会排除管理员隔离区中的邮件：
|
第 4 步：预览结果
要预览匹配的内容，请在结果表格中点击相应的行，系统即会在右侧的边栏中打开预览页面。
预览功能的运行机制如下：
- 邮件 \- 保险柜将邮件的全部会话折叠成一个 单独会话后返回。要展开会话，请点击相应邮件。要预览具体的邮件，直接点击它们即可。
- 云端硬盘内容 - 您可以预览 Google 文件（例如 Google 文档、表格、幻灯片、 绘图和 Vids）以及用户上传的文件（例如 .docx、.pdf 和 .xlsx）。
您可能无法预览返回的所有邮件或文件。尽管预览的内容可能会受到限制，但当您导出搜索结果时，所有匹配的数据都在导出范围内。
第 5 步：保存搜索查询
最终确定搜索参数后，您可以保存查询，以便日后能够快速地再次执行该搜索。
- 要保存查询，请点击保存 。此操作不会保存搜索结果，只会保存查询参数。如需保存当前结果，请继续执行下一步并导出结果。
- 要打开已保存的查询，请点击查看已保存的查询 ，然后点击该查询。已保存的查询是动态的，也就是说，当您再次执行搜索时，结果中会包含自上次搜索以来创建的数据。
第 6 步：导出和分析
要保存查询结果，请在搜索 标签页中点击导出 。
如果您没有看到导出 选项，请让管理员授予您 必要的权限。
注意：如果贵组织启用了多方审批 (MPA)，则必须先提交 导出请求以供审批。审批人批准请求后，导出流程即会开始。
转到导出内容 标签页，以跟踪导出进度。导出完成后，点击下载 。您可以在导出开始后的 15 天内下载导出的文件。
导出的内容包括一个压缩文件，其中包含搜索返回的数据。此外，导出的内容还包含一个元数据文件，用于将数据与关联的账号相关联。您可以使用第三方软件来处理导出的 文件。
其他保险柜任务
您还可以在保险柜中执行以下任务：
- 按照组织的保留义务要求，保留特定邮件和文件。
- 检查您的保留政策并 根据需要进行更新。
- 创建保全，从而为个别用户或组织部门保留数据 。无论保留设置为何，符合保全条件的邮件和文件永远不会被删除。
- 审核用于控制其他用户可在保险柜中执行哪些操作的权限。